Още една уязвимост в Log4j 2. Проблемите в Log4j засягат 8% от Maven пакетите

В библиотеката Log4j 2 е открита още една уязвимост (CVE-2021-45105), която, за разлика от предишните два проблеми, е класифицирана като опасна, но не критична. Новият проблем позволява извикване на отказ в обслужването и се проявява под формата на зацикляне и аварийно завършване при обработка на определени низове. Уязвимостта е отстранена в публикуваната преди няколко часа версия на Log4j 2.17. Опасността от уязвимостта се смекчава от факта, че проблемът се проявява само на системи с Java 8.

Уязвимости подлежат на системите, които използват контекстуални заявки (Context Lookup) при определяне на формата на лог изхода, като например ${ctx:var}. В версиите на Log4j, започвайки от 2.0-alpha1 до 2.16.0, липсваше защита срещу неконтролирана рекурсия, което позволявало на атакуващия, чрез манипулации с стойността, използвана за подмяна, да предизвика зацикляне, водещо до изчерпване на паметта в стека и аварийно завършване на процеса. По-специално, проблемът възникваше при подмяна на стойности като «${${::-${::-$${::-j}}}}».

Допълнително може да се отбележи, че изследователи от компанията Blumira предложиха вариант на атака върху уязвими Java-приложения, които не приемат външни мрежови заявки. Например, по този начин могат да бъдат атакувани системи на разработчици или потребители на Java-приложения. Същността на метода е, че при наличие на уязвими Java-процеси на системата на потребителя, които приемат мрежови връзки само от локалния хост (localhost) или обработват RMI заявки (Remote Method Invocation, порт 1099), атаката може да бъде извършена от JavaScript код, изпълняван при отваряне от потребителите на злонамерена страница в браузъра. За организиране на връзка с мрежовия порт на Java-приложението при подобна атака се използва WebSocket API, при който, за разлика от HTTP заявките, не се прилагат ограничения по произход (WebSocket също може да се използва за сканиране на мрежовите портове на локалния хост с цел определяне на наличните мрежови обработчици).

Интерес представляeт публикувания на компания Google резултати от оценка на уязвимостите на библиотеките, свързани със зависимостите на Log4j. Според Google, проблемът засяга 8% от всички пакети в репозитория Maven Central. В частност, уязвимостите са засегнали 35863 Java пакета, свързани с Log4j чрез директни и индиректни зависимости. При това Log4j се използва като директна зависимост от първо ниво само в 17% от случаите, а в 83% от засегнатите пакети свързването се извършва чрез междинни пакети, зависими от Log4j, т.е. зависимости от второ и по-високо ниво (21% — второ ниво, 12% — трето, 14% — четвърто, 26% — пето, 6% — шесто). Скоростта на коригиране на уязвимостта за момента не е задоволителна, тъй като седмица след откритие на уязвимостта проблемът е разрешен само в 4620 от 35863 идентифицирани пакета, т.е. в 13%.

Междувременно, Агенцията за киберсигурност и защита на инфраструктурата на САЩ публикува спешна директива, задължаваща федералните агенции да идентифицират информационните системи, подложени на уязвимост в Log4j, и до 23 декември да инсталират актуализации, които блокират проблема. До 28 декември организациите са задължени да отчетат извършената работа. За улесняване на откритията на проблемните системи е подготвен списък на продуктите, в които е потвърдена наличието на уязвимост (в списъка има над 23 хиляди приложения).

Източник: opennet.ru